Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.464.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.umengc####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 2####.86.5.167:14840
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- a####.u####.com
- a####.umengc####.com
- and####.cli####.go####.com
- pv.s####.com
Запросы HTTP GET:
- gdv.a.s####.com/cityjson?ie=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- a####.umengc####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1dIUNuh8P5-M39nw
- /data/data/####/1nSF12VEIMwaFK9j9RF0dw==
- /data/data/####/2_hclnYa_uaMfXpfcefZKl5JC3oHKpkI.new
- /data/data/####/2sarSmF5ccVxbKA-gGx-Oc5f1Z_CWwJ3RxeY9A==.new
- /data/data/####/6-8XUc5riSnU_4ksyJzUiI_Xzoo=.new
- /data/data/####/9dNu6nLF4tYer-2AIAjKXWDrfIFnCCseyiC-SgyWkjw=.new
- /data/data/####/CitiGame.ini.xml
- /data/data/####/FxRNl89bneo2PG_SujheR5Gs_jc=.new
- /data/data/####/I3LQmBr364UdzlDYBIoeQq-vj9oeBIfkMpKvjuKebAk=.new
- /data/data/####/I5ZVMuSqAqJLhZjacz7sv8W_Uy4UbNba.new
- /data/data/####/IIc7_RzlvgefMDTlsAj52eo8NJA=.new
- /data/data/####/KN1v7atxv2zwygDEjwSB4T34n7U=.new
- /data/data/####/LYmjMan2AaoNm0QerA9JnA==
- /data/data/####/TO8i_9MUf5FnipKq_VHJ1bN2EXoNeW4h.new
- /data/data/####/U0tKw9X7QtZTUtnWf02aBQ==.new
- /data/data/####/Xkib9T6KsDXgFwDckb6Z8LQPTiY=.new
- /data/data/####/_JW851CsWg92xhFI
- /data/data/####/a9RFM8vtqYqYpFwvcv8mhQ==.new
- /data/data/####/bkekBFYIx9XhEuYA.new
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.zsfz.ljfdzz.v2.playerprefs.xml
- /data/data/####/dfmThov-XpniBjQf9lxmfPe-wKH0Pp2Y.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fxGGk-itX47v1kJDYvZ3Xg==.new
- /data/data/####/g_tlRuTJq0tqwboGCxdq-MSbjIcTA_CiCYQhXp81EWs=.new
- /data/data/####/j96ZGQpBhA3SdQuG.zip
- /data/data/####/jPvy27ig7o0XWDopOPfklMPWD9ea7jNapj8TUKD7f1c=.new
- /data/data/####/jgpTA2BEbL6lUZmUQtbqmUM9oZI=.new
- /data/data/####/kr9xKyjp5NaeB88VZArAs_u0H2T5R5rAHBJ27A==.new
- /data/data/####/n_jmSEbNmY6jcfyq2TtpbFsBo8BBN6Kr.new
- /data/data/####/nfwk-MnxSwKtHzY2WbqlseQG8_E=.new
- /data/data/####/r83XatDH7jurZsZb6bR0QgGYff2ekCatdoWtXw==.new
- /data/data/####/rdata_comzsfzljfdzz.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sE_zUsp3ztjw5ZtjNrIisGk96G19HvEg.new
- /data/data/####/t3-AhxqVFeu0v6S3kWkVLEnYby8TbF9x.new
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_4lOAt9...ournal
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_4lOAt9...y5zRM=
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_8LHEFS...ournal
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_8LHEFSoGUMdCQFVd
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==__luSF5...ournal
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_t9IFNJ...ournal
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_t9IFNJ...udFQ==
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_uB4CA0...If2Q==
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_uB4CA0...ournal
- /data/data/####/tAuyg9NyZ3MoRwtIejYEmyC38Tr1ceH2FCJGIw==_vv65F9...ournal
- /data/data/####/tSopc3LehJgUn0h2uEabUZUmGQeSz-cr.new
- /data/data/####/tejcag_f.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_cache_1553729527937.env
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/v3n1fKAIYGHpFpSwZt05ozn45fk=.new
- /data/data/####/z7UBEGPWUB-L0Nn8vSSNdMc5Cr4=
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/code-5416527/1dIUNuh8P5-M39nw -p <Package> -c <Package>.nougat.RambutanReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- sh <Package Folder>/code-5416527/1dIUNuh8P5-M39nw -p <Package> -c <Package>.nougat.RambutanReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- AudioPluginOculusSpatializer
- libAudioPluginOculusSpatializer
- libtango_3d_reconstruction_api
- main
- unitygar
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
